JVN iPedia http://jvndb.jvn.jp Advisory JVNDB-2026-024355 open-webuiのバージョン0.3.14以前には、クロスオリジンリソース共有（CORS）の設定ミスがあり、allow_origins=*かつ認証済みリクエストで /api/v1/functions エンドポイントへのアクセスを許可していました。攻撃者は、管理者ユーザーが攻撃者の管理するウェブサイトを訪れた際に、悪意のあるクロスサイトリクエストを作成することで、open-webuiインスタンス上で任意のコードを実行することができます。 cpe:/a:openwebui:open_webui https://jvndb.jvn.jp/ja/contents/2026/JVNDB-2026-024355.html Common Vulnerabilities and Exposures (CVE) CVE-2026-56400 https://www.cve.org/CVERecord?id=CVE-2026-56400 National Vulnerability Database (NVD) CVE-2026-56400 https://nvd.nist.gov/vuln/detail/CVE-2026-56400 GitHub GitHub Security Lab (GHSL) Vulnerability Report, open-webui: GHSL-2024-174, GHSL-2024-175 Advisory open-webui/open-webui GitHub https://github.com/open-webui/open-webui/security/advisories/GHSA-6xcp-7mpr-m7wm JVNDB CWE-613 https://cwe.mitre.org/data/definitions/613.html VulnCheck open-webui - Remote Code Execution via CORS Misconfiguration and Session Validation | Advisories | VulnCheck https://www.vulncheck.com/advisories/open-webui-remote-code-execution-via-cors-misconfiguration-and-session-validation 2026-07-21T10:40:26+09:00 2026-07-21T10:40:26+09:00